สรุปสั้น

Claude Desktop คือ แอปเอเจนต์ AI ของบริษัท Anthropic ที่รันคำสั่งบนเครื่องที่ติดตั้งได้ ส่วน Dispatch คือ ฟีเจอร์ใน Cowork ที่ให้ผู้ใช้ส่งงานจากมือถือไปให้ Claude Desktop ทำบนคอมพิวเตอร์ นักวิจัยจากบริษัท Forever Security ซึ่งทำด้านความปลอดภัยปลายทาง สาธิตว่าส่วนขยายเบราว์เซอร์ที่รันสคริปต์บน claude.ai ได้ สามารถใช้ Dispatch สั่ง Claude Desktop รันโค้ดบนเครื่องผู้ใช้ได้ เพราะ Dispatch ยอมรับเซสชันที่ล็อกอินบนเว็บ claude.ai ตามปกติ แม้หน้าเว็บจะไม่มีลิงก์ไปถึงฟีเจอร์นี้ ส่วนขยายจึงส่งคำสั่งได้เหมือนผู้ใช้พิมพ์เอง

ในการทดสอบ สคริปต์ส่ง prompt ในนามผู้ใช้ให้ติดตั้งแพ็กเกจ npm และคลิกปุ่ม “Allow” ทุกวินาที จน Claude ติดตั้งแพ็กเกจที่เปิดโปรแกรมเครื่องคิดเลขได้ โดยไม่ต้องใช้ช่องโหว่ของเบราว์เซอร์ นักวิจัยระบุว่าช่องโหว่ยังใช้ได้ ณ ต้นสัปดาห์นี้ แต่ยังไม่พบการโจมตีจริง Anthropic แจ้งว่าจะยุติ Dispatch แต่นักวิจัยเตือนว่าฟีเจอร์อื่นที่ออกแบบแบบเดียวกันก็เสี่ยง ผู้ใช้ควรปิด Dispatch ข้ามอุปกรณ์ถ้าไม่จำเป็น และคุมส่วนขยายเบราว์เซอร์อย่างเข้มงวด

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 พฤศจิกายน 2569 ตามบทความเทคนิคของนาย Gal Weizman นักวิจัยของ Forever Security ว่าทีมรายงานปัญหาให้ Anthropic เมื่อ 14 พฤษภาคม 2569 บริษัทยอมรับว่าเป็นปัญหาจริงเมื่อ 19 พฤษภาคม แต่ปิดรายงานโดยระบุว่าซ้ำกับปัญหาที่พบเองภายในแล้ว ต่อมาเมื่อ 13 ตุลาคม Anthropic แจ้งนักวิจัยว่าจะยุติ Dispatch โดยตั้งเป้าปลายเดือนตุลาคม

อย่างไรก็ดี หน้าช่วยเหลือของ Dispatch ที่อัปเดตล่าสุดช่วงปลายสัปดาห์ก่อนไม่ได้พูดถึงการยุติ ระบุเพียงว่าปิดรับผู้ใช้ใหม่ และผู้ใช้เดิมในแพ็กเกจ Pro, Max และ Ultra บางส่วนใช้ต่อได้ในตอนนี้ นักวิจัยระบุว่า Claude Code Remote Control และเซสชัน Claude Cowork ก็เปิดให้ส่วนขยายโจมตีแบบเดียวกันได้ ข้อจำกัดของหลักฐาน คือ การทดสอบทำบนเครื่องเดียว กรณีข้ามไปเครื่องอื่นอธิบายไว้แต่ไม่ได้สาธิต ฟีเจอร์อื่นที่อ้างถึงยังไม่ได้ทดสอบ และยังไม่มีรายงานการโจมตีจริง

วิธีการโจมตี

เงื่อนไขที่ต้องมี — การโจมตีต้องมี 2 อย่าง คือ ส่วนขยายที่รันสคริปต์บน claude.ai ได้ และผู้ใช้ที่ล็อกอินทั้ง claude.ai และ Claude Desktop พร้อมเปิด Dispatch ส่วนขยายอาจเป็นตัวอันตรายตั้งแต่แรก ตัวที่ถูกต้องแต่ได้อัปเดตที่ถูกฝังโค้ด หรือตัวที่ถูกต้องแต่มีช่องโหว่ และ Dispatch ทำงานเฉพาะตอนที่คอมพิวเตอร์เปิดและแอปเดสก์ท็อปเปิดอยู่

ปลอมเป็นผู้ใช้ส่งงาน — สคริปต์บนหน้า claude.ai เปิด Dispatch แล้วส่ง prompt 4 ข้อความในนามผู้ใช้ ขอให้ติดตั้งแพ็กเกจ npm ตอนแรก Claude ลังเลเพราะไม่รู้จักแพ็กเกจ แต่ข้อความถัดมาที่ส่งเหมือนผู้ใช้ยืนยันก็ทำให้ Claude ทำตาม

กดอนุมัติแทนผู้ใช้ — Claude ขออนุมัติก่อนลงมือ แต่หน้าขออนุมัติแสดงในหน้าเว็บที่ส่วนขยายควบคุมอยู่ สคริปต์จึงคลิกปุ่ม “Allow” ทุกวินาที ไม่ต้องมีคนนั่งดู ขั้นนี้ทำให้กลไกให้คนยืนยันก่อนรันคำสั่งไร้ผล

รันโค้ดผ่าน install script — Claude รัน npm install แบบ global และ install script ของแพ็กเกจเปิดโปรแกรมเครื่องคิดเลข นักวิจัยระบุว่าขั้นเดียวกันนี้ใช้ขโมยไฟล์หรือติดตั้งแบ็กดอร์ได้ ตามสิทธิ์ที่ Claude มีบนเครื่อง

ข้ามอุปกรณ์ได้ — เพราะ Dispatch เชื่อมอุปกรณ์เข้าด้วยกัน ส่วนขยายจึงอาจสั่ง Claude Desktop บนเครื่องอื่นที่ล็อกอินบัญชีเดียวกันได้ เช่น ใช้บัญชี Claude ส่วนตัวทั้งบนเครื่องที่บ้านและโน้ตบุ๊กที่ทำงาน นักวิจัยเคยพบบัญชี Claude ส่วนตัวที่เปิด Dispatch ข้ามอุปกรณ์บนเครื่องทำงานของลูกค้า

ผลกระทบ

ผู้ที่เสี่ยงโดยตรง คือ ผู้ใช้ Claude Desktop ที่ยังเปิด Dispatch และติดตั้งส่วนขยายเบราว์เซอร์ที่มีสิทธิ์รันสคริปต์บนทุกเว็บหรือบน claude.ai ถ้าถูกโจมตี ผู้โจมตีได้ความสามารถเท่ากับ Claude บนเครื่องนั้น ทั้งอ่านไฟล์ รันคำสั่ง และติดตั้งซอฟต์แวร์ โดยผู้ใช้ไม่ต้องทำอะไรเลย

ความเสี่ยงต่อองค์กรอยู่ที่การใช้บัญชีส่วนตัวบนเครื่องทำงาน ส่วนขยายที่ติดบนเบราว์เซอร์ที่บ้านอาจกลายเป็นทางเข้าโน้ตบุ๊กของบริษัท ซึ่งทีมไอทีมองไม่เห็นเพราะไม่ได้ผ่านระบบขององค์กร ในภาพกว้าง กรณีนี้ชี้ว่าการขออนุมัติก่อนรันคำสั่งของเอเจนต์ AI จะไร้ผลเมื่อหน้าอนุมัติอยู่ในพื้นที่ที่โค้ดอื่นควบคุมได้

คำแนะนำ

  • ผู้ใช้ Claude Desktop — ทำทันที: ปิด Dispatch ข้ามอุปกรณ์ในแผงด้านซ้ายของ Cowork ถ้าไม่จำเป็น ถ้าจำเป็นให้ตรวจว่าอุปกรณ์ใดถูกจับคู่ อนุมัติ และถอดออกได้อย่างไร
  • ผู้ใช้ทั่วไป: ตรวจส่วนขยายเบราว์เซอร์ทุกตัว ถอดตัวที่ไม่ใช้ และระวังตัวที่ขอสิทธิ์อ่านและแก้ไขข้อมูลบนทุกเว็บไซต์
  • องค์กร — ทำทันที: ห้ามใช้บัญชี Claude ส่วนตัวที่เปิด Dispatch หรือฟีเจอร์ควบคุมทางไกลบนเครื่องของบริษัท
  • องค์กร: ควบคุมส่วนขยายเบราว์เซอร์ด้วย allowlist และทบทวนอัปเดตที่ขอสิทธิ์เพิ่ม เหมือนซอฟต์แวร์อื่นบนเครื่อง
  • ตรวจว่าโดนแล้วหรือยัง: เฝ้าดูสิ่งที่เอเจนต์ AI ทำบนเครื่อง เช่น การติดตั้งแพ็กเกจ npm แบบ global ที่ไม่คาดคิด การแก้ค่าตั้ง การเข้าถึง credential และการเชื่อมต่อออกภายนอก

แหล่งอ้างอิง